Hvis du tror din Docker-compose.yml er bare infrastrukturlim, tenk om igjen. Disse filene blir ofte utilsiktet lagring for hemmeligheter, hardkodet legitimasjon, API-tokener og miljøvariabler som finner veien inn i versjonskontrollen. Når de er synkronisert med GitHub eller et hvilket som helst repo, kan disse hemmelighetene leve for alltid i commit historie.
Utviklere behandler ofte Docker-compose.yml som en ikke-sensitiv fil, uten å se hvordan den kan tjene som en angrepsvektorEn liten lekkasje her kan bety tilgang til private tjenester, interne API-er eller hele infrastrukturen. Dette er den typen docker-compose-hemmeligheter som angripere jakter på.
Vanlige måter docker-compose-hemmeligheter lekker inn Docker-Compose.yml
Her er noen hverdagsfeil utviklere gjør:
1. Hardkoding av legitimasjon direkte
services:
db:
image: postgres
environment:
POSTGRES_USER: admin
POSTGRES_PASSWORD: supersecret123
Passordet i denne Docker-compose.yml er nå en del av git-historikken din. Enda verre, den kan også bli brukt i produksjon. Dette er en av de mest direkte formene for docker-compose-hemmeligheter utsettelse.
2. Kopiering og liming fra delte konfigurasjoner eller StackOverflow
Dårlig praksis sprer seg raskt. Å kopiere usikre eksempler og bruke dem som de er fører til at hemmeligheter dukker opp i alle miljøer, fra utvikler til produksjon.
3. Montering .og V filer direkte uten å sikre dem
konvolutt_fil: – .konvolutt
.og V filer inneholder ofte API-nøkler eller legitimasjon, og utviklere glemmer å legge dem til .gitignoreDette gjør hemmeligheter synlige hvis depotet er offentlig eller delt. Disse blir indirekte Docker Compose-hemmeligheter når de refereres til.
Den virkelige effekten av Docker-Compose Secrets i CI/CD
In CI/CD pipelines, kompromitterte hemmeligheter fra en Docker-compose.yml kan:
- Utløs uautoriserte bygg
- Tilgang begrenset til iscenesettelses- eller produksjonstjenester
- Injiser skadelig kode i distribusjoner
- Åpne bakdører gjennom sideveis bevegelse
Angripere skanner offentligheten GitHub-repos se etter Docker-compose.yml filer ved hjelp av GitHub-nørder eller automatiserte verktøy. Når de finner hemmeligheter, kan de utgi seg for å være CI-løpere, misbruke skykreditter eller enda verre, distribuere ransomware i forsyningskjeder. Disse Docker Compose-hemmelighetene representerer en alvorlig og ofte oversett sårbarhet.
Oppdage og håndtere hemmeligheter på en sikker måte
Bruk skanneverktøy:
- Trøffelgris, Gitleakseller Xygeni kan oppdage hemmeligheter i depotet ditt, inkludert gamle commits.
- Kjør skanninger i CI-en din pipeline for å blokkere PR-er som inneholder hemmeligheter.
Erstatt direkte hemmeligheter med miljøvariabler:
tjenester:
app:
bilde: minapp
miljø:
DB_PASSWORD: ${DB_PASSWORD}
Bruk en hemmelighetsbehandler for å injisere DB_PASSWORD under kjøring, og hold den unna din Docker-compose.ymlDenne tilnærmingen bidrar til å redusere risikoen knyttet til Docker Compose-hemmeligheter.
Integrer hemmelige administratorer:
Verktøy som Vault, AWS Secrets Manager eller Doppler håndterer hemmeligheter på en sikker måte og tilbyr rotasjonspolicyer.
Beste praksis for utviklere i DevSecOps for å unngå eksponering av Docker-Compose Secrets
- Aldri hardkode hemmeligheter in Docker-compose.yml.
- Legg til .og V til .gitignore, alltid.
- Bruk hemmelige skanneverktøy i din lokale utvikling og CI/CD pipeline.
- Se gjennom skrivefiler som en del av sjekklisten din for sikkerhets-PR.
- Automatiser hemmelig rotasjon, spesielt for tokener og tjenestelegitimasjon.
- Eksempler på tredjeparts revisjonsskriving før du kopierer dem inn i kodebasen din.
- Behandle sensitive data i disse filene som Docker Compose-hemmeligheter, og administrer dem deretter.
Din Docker-Compose.yml Kan være din største sikkerhetsblindsone
Din Docker-compose.yml er mer enn bare konfigurasjon; det er en del av applikasjonens angrepsflate. Behandle det som kode. Hemmeligheter som skjuler seg i disse filene utgjør en reell risiko, spesielt når de synkroniseres med versjonskontroll og integreres i CI/CD.
Verktøy som Xygeni hjelper med å oppdage og administrere Docker Compose-hemmeligheter på tvers av kodebaser og pipelines, noe som reduserer risikoen for angrep i forsyningskjeden. Integrer det i arbeidsflyten din for å få oversikt over og kontroll over hva dine Docker-compose.yml kan være å eksponere.
